As intermediárias trazem basicConstraints com cA definido como true, muitas vezes um pathLenConstraint, Key Usage keyCertSign e cRLSign e, pelas regras atuais dos programas de raízes, Extended Key Usage que as restringe a uma única finalidade. O programa de raízes do Chrome, por exemplo, exige que novas CAs subordinadas usadas para TLS declarem apenas id-kp-serverAuth.
Como é o servidor que precisa enviá-las, as intermediárias são a peça que mais costuma faltar em uma implantação TLS. Elas são trocadas com mais frequência do que as raízes: em 2026, o Let's Encrypt substituiu suas intermediárias R10–R14 e E5–E9 pelas séries YR e YE, e um servidor com uma cadeia antiga embutida no código passou então a servir uma cadeia errada.
O comprometimento ou a emissão indevida de uma intermediária é tratado com a revogação dela na CRL da CA emissora e com listas de bloqueio distribuídas pelos navegadores (OneCRL da Mozilla, CRLSets do Chrome), o que é mais rápido do que esperar que cada cliente baixe as CRLs.